Отсутствие авторизации во внешнем управлении API в Amazon mcp-gateway-registry 1.0.9 через 1.24.7 может позволить аутентифицированному удаленному пользователю назначить область администратора реестра своей собственной группе идентификации и получить административный контроль над каждым зарегистрированным активом шлюза через созданный запрос импорта группы. Чтобы исправить эту проблему, пользователи должны обновиться до версии 1.25.0.
Показать оригинальное описание (EN)
Missing authorization in the external management API in Amazon mcp-gateway-registry 1.0.9 through 1.24.7 might allow an authenticated remote user to assign the registry administrator scope to their own identity group and obtain administrative control of every registered gateway asset via a crafted group import request. To remediate this issue, users should upgrade to version 1.25.0.
Характеристики атаки
Последствия
Строка CVSS v4.0